Een penetratietest of pentest is een toets van een of meer informatiesystemen, netwerken, applicaties en servers op kwetsbaarheden. Een penetratietester probeert de systemen van een organisatie te ‘hacken’, zodat duidelijk wordt of/waar er beveiligingsproblemen zijn.

Penetratietesten of pentesten

Een penetratietest vindt normaal gesproken om rechtmatige redenen plaats, met toestemming van de eigenaren van de systemen die getest worden, met als doel de systemen beter te kunnen beveiligen. Het is noodzakelijk dat door alle betrokken partijen een vrijwaringsverklaring getekend is, voordat de penetratietest uitgevoerd kan worden. Indien het niet legaal plaatsvindt, zonder toestemming van eigenaren van de systemen, is er sprake van een inbraak, zelfs als de bedoeling van de persoon die de test uitvoert constructief bedoeld is.

Voor penetratietesten worden ook wel de termen pentest, ethical hacking test, legal hacking test, hacktest, security scan en vulnerability assessment gebruikt.

Doelstelling penetratietesten

• Verkrijgen van inzicht in de risico’s en kwetsbaarheden van de onderzochte systemen.
• Verbeteren van de beveiliging om de risico’s en kwetsbaarheden te bestrijden.

Soorten penetratietesten

Er worden verschillende soorten penetratietests onderkend:

• White box pentest
  De tester krijgt vooraf inzicht in alle aspecten van de systeemarchitectuur
• Grey box pentest
  De tester krijgt vooraf gedeeltelijk inzicht in aspecten van de systeemarchitectuur
• Blackbox pentest
  De tester krijgt vooraf geen inzicht in aspecten van de systeemarchitectuur. Er wordt uitgegaan van een computerkraker van buitenaf, die zonder vooraf kennis te hebben van vertrouwelijke informatie zijn pogingen tot het kraken van de systemen zal uitvoeren.

Penetratietesten kunnen bestaan uit interne en externe aanval scenario’s. Interne aanvallen zijn pogingen om toegang tot het informatiesysteem te krijgen, nadat toegang verkregen is tot een component binnen de infrastructuur van de organisatie. Externe aanvallen zijn pogingen om binnen te dringen in de omgeving van een organisatie vanaf een computer buiten de organisatie

Welke vaardigheden moet een pentester hebben?

Een pentester wordt ook wel “ethical hacker” genoemd en moet over diverse vaardigheden beschikken zoals programmeren, scripten, het configureren van netwerken en het installeren van servers. Om een gecertificeerde “ethical hacker” te worden, moet je het CEH (Certified Ethical Hacker) certificaat te behalen.